Bezpieczeństwo3 lis 2026, 19:43 UTC·1 min czytania

Beget potwierdza cyberatak: z chmury zniknęły wszystkie dane

Rosyjski hosting Beget przyznaje, że atakujący przejęli warstwę zarządzającą i uruchomili skrypty kasujące. Dane w chmurze (VPS, S3, Kubernetes) przepadły.

Rows of data center server racks with warning lights, illustrating a hosting provider hit by a destructive cyberattack. — Zdjęcie: Хабр

SUMO

Dialo

ediviewer

Rosyjski dostawca hostingu Beget potwierdził, że w nocy z 1 na 2 listopada 2026 roku jego infrastruktura padła ofiarą cyberataku. Napastnicy uzyskali dostęp do kontura zarządzającego całą architekturą, a następnie uruchomili skrypty zerujące. Firma ogłosiła wystąpienie siły wyższej.

Największe straty dotyczą chmury. W usługach VPS, S3 i Kubernetes utracono wszystkie dane, przepadły też ustawienia CDN i adresy IP. Całkowicie zniknęły binarne kopie zapasowe VPS. Zachowały się jednak kopie plikowe, z których można odtworzyć dane.

Co już działa

Serwery dedykowane administrowane przez samych klientów wróciły do pracy 2 listopada około godz. 14:00. Na serwerach administrowanych przez Beget większość danych przetrwała, a weryfikacja trwa. Dla domen w strefach .ru, .рф i .su, które korzystają z serwerów DNS Beget, działa zmiana rekordów A, MX i TXT, dzięki czemu można przekierować domeny na inne adresy. Odtworzono około 80 proc. infrastruktury poczty, a pełne uruchomienie zapowiedziano w ciągu 10 godzin.

Beget ustalił też z Koordynacyjnym Centrum sieci internetowej, że domeny w strefach .ru, .рф i .su z kończącym się okresem delegowania nie zostaną wyłączone. Prace nad domenami międzynarodowymi trwają.

Dlaczego odbudowa potrwa

Kopie plikowe całego hostingu i chmury istnieją, ale nie można ich teraz udostępnić. Każdy z ponad 1000 serwerów trzeba ręcznie sprawdzić pod kątem ukrytych luk i złośliwych skryptów. Według wstępnej oceny odzyskać można prawie 100 proc. stron z hostingu wirtualnego. Ograniczony interfejs panelu klienta ma ruszyć w ciągu 24 godzin.

Z dostępnych danych wynika, że na serwerach z danymi użytkowników nie próbowano ich pobierać ani zmieniać. Firma zaleca mimo to zmianę haseł, kluczy dostępu i innych poświadczeń, które mogły być tam przechowywane. Szczegółów ataku nie ujawnia, tłumacząc to bezpiecznym uruchamianiem infrastruktury i śledztwem. Dział DevOps pracuje całą dobę.